на всякий случай, для памяти

[brmail]

Попробовал 2FA для аккаунта жены, который гугл собрался насильно переключать 9 числа. 
Первое, да, переключается легким движением руки. Дал создать 10 бекап кодов, которые я благополучно сохранил. Дал и линк по которому ходить, чтобы создать еще. 
Второе, для доступа к почте через Оутлук - генерирует специальный пароль.  
Select your Profile icon > Manage Your Google Account > Security > App Passwords, choose an app and a device, then select Generate.
Прекрасно работает с оутлуком из офиса 2003. 
Никаких телефонных приложений типа microsoft authenticator  или google authenticator, как способ доступа, нигде не упоминалось. Вероятно надо поставить их на телефон, чтоб оно появилось, но не уверен. Ограничился кодами для одноразового доступа и паролем для Оутлука.

Спасибо за помощь, всем кто участвовал в прошлом обсуждении этой темы. 

Comments

[metaller]

Я включил 2FA на личный гугловый эккаунт почти год назад с использованием аппаратного ключа, вот такого https://smile.amazon.com/gp/product/B07RL99HZ6/ref=ppx_yo_dt_b_search_asin_title?ie=UTF8&psc=1

Также доступны дополнительные опции : sms и google prompt с телефона. Кроме этого можно включить authenticator app.

[brmail]

мне не нравится для всей этой внешней машинерии тот факт что утеря повлечет проблемы с доступом. Понятно, что разовые секьюрные коды будут так или иначе работать, но все равно не нравится. Потом опт подсказывает, что железяки нет с собой именно тогда когда нужен доступ. А так да, все хорошо

[metaller]

Поэтому и есть много способов доступа (я их перечислил в предыдущем комменте).

[brmail]

а вот расскажи про authenticator app.

[metaller]

А что рассказывать ? Ставишь google (или другой) auth app на телефон, привязываешь к эккаунту и он генерит последовательности чисел каждую минуту. Когда 2FA спрашивает тебя - даёшь ему то число что auth app показывает в данный момент. Один auth app может обслуживать много эккаунтов (в том числе и в разных системах). Для каждого эккаунта генерится своя последовательность.

[brmail]

ага, ну буду иметь в виду. Мне-то самому пока не надо, у меня 2FA в моем домейне запрещено, толи где то в настройках, толи гугл постарался, не знаю даже, просто нету такой настройки в меню секьюрити у аккаунта. Надо глянуть в домейн-админке, чисто для интереса, так-то нет, не хочу его включать. А вот несколько остальных аккаунтов в семье, те что в gmail-e может и привязать к такому аппликейшен. Особенно если оно умеет быть запасной авторизацией - типа первый способ попроще, sms, а если не прошло, то вот звонок мне, и код голосом продиктован и вуаля, есть доступ.

[rampitec]

На самом деле у меня включён, даже проще работает. Возбуждается только при логине с нового устройства. Ему надо просто тыкнуть пальцем в кнопку "это я, разрешаю".

[metaller]

У меня также.

[ctapnep]

если с собой нет железяки (телефона), то и сгенереных кодов скорее всего тоже нету.
а если распечатать и носить в кошельке, то это как-то совсем несекьюрно. Ну и набивать все эти циферки вручную... ну нафик.

[brmail]

чисто по жизни - телефон жены с собой у нее, а я пытаюсь залезть в мейл акаунт жены с какого то компа и браузера, откуда гугл меня не распознает. В этом случае код у меня есть и я могу им воспользоваться.

[ctapnep]

1) ну ты и археолог.
2) я наверное что-то не понимаю, но sharing passwords... no-no-no. не говоря уж про "заходить в аккаунт жены" без ее присутствия в принципе.

[brmail]

По ее к примеру просьбе - вытащить ей какой то мейл, который она не может найти, потому что батарея села.

[ctapnep]

и как она это попросила с севшей батареей? и как ты ей это емейл передашь?

не, каждый действует в рамках своих правил, которые его устраивают. лично для меня это звучит странно. для кого-то странно, что я не могу зайти в почту жены или жена в мою. все нормально. каждому своё

[brmail]

Позвонила из школы, где работает, прямо по проводному телефону и попросила прочесть вслух.

[ctapnep]

в школе есть проводной телефон и нет компьютеров и зарядника для телефона?

[brmail]

телефон есть, комп есть, зарядников видимо нет. зарядник есть в машине, но до нее же идти, и сидеть ждать немного процентов зарядки, позвонить и спросить куда проще. Тебе был нужен пример когда оно именно так работает - я тебе привел пример из жизни когда именно. Кстати, попробуй она без работающего телефона залезть в свой емейл - было бы то же самое, только без наличия меня.

[brmail]

Только сейчас вот подумалось. Вот этот вот пароль, который мне сгенерили для Оутлука. Он конечно длинный - 15 или 16 символов, и по словарям не подбирается. Это да. Но там ни спец символов, ни верхнего-нижнего регистра, все тупо и просто. Чем же этот пароль так лучше того, что сгенерил юзер для своего аккаунта? Где защита то, я не понял? Кстати, для случая men in the middle оно ведь то же не поможет? Или я что-то упускаю?

[ctapnep]

1) этот пароль одноразовый. Он для одной аппликушки. Если с этим паролем попытаться зайти через браузер или из другого клиента, то он не подойдет.

2) лишний символ к длине пароля дает гораздо больше, чем все эти спец-символы и прочие извращения.

3) где гарантия, что юзер себе не сгенерил qwerty123?